lisp i sidr

Łukasz [email protected]

Locator/ID SPlit (LISP)

© 2010 Cisco and/or its affiliates. All rights reserved. Cisco ConfidentialPresentation_ID 2

LISP?

Problem który LISP stara się rozwiązać, to skalowalność tablic routingu

międzyplanetarny internet?

Wnioski ze spotkania Internet Architect Board w październiku 2006 opisano w RFC4984… i już

LISP jest próbą stworzenia technologii typu OTN –niezależną od protokołu warstwy trzeciej – IPv4 i IPv6


Multihoming?

Istniejące mechanizmy multihomingu nie są idealne

kontrola ruchu wchodzącego i wychodzącego – zarówno z perspektywy operatora jak i klientaprotokół – BGPadresacja PI w IPv4 i IPv6 –rozłączenie adresu od operatora od którego on pochodzi

…a gdyby tak jeszcze zmniejszyć tablice routingu?

Provider A10.0.0.0/8

Provider B11.0.0.0/8

S

R1 R2BGP


Oddzielenie adresacji

Znaczenie pól w adresie można zmienić – lub rozszerzyć:

Locator ID

Locator

.10.0.0.1

ID

2001:0102:0304:0506:1111:2222:3333:4444IPv6:

ID i lokalizacja

209.131.36.158IPv4:

ID i lokalizacja

Dla PI – nowy ‘locator’,dla PA – nowe ID


Definicja znaczeń

ID lub EIDadres konkretnego hosta lub routerapojawiają się w rekordach DNSnowa przestrzeń adresowa – nie pojawia się w globalnej tablicy routingu

LocatorAdresy infrastruktury – routerów LISP i dostawcówHosty nie muszą wiedzieć o tej przestrzeni adresowejZnajdują się w globalnej tablicy routingu i podlegają najlepszym praktykom routingu (w szczególności –agregacji)




S Hosty używają ID/EID

W szkielecie („Internecie”)

wykorzystywane są adresy typu

‘Locator’

R2R1

LISP – podział adresacji


Czym jest zatem LISP?

Protokołem zapewniającym separację adresów – Locator od ID Podstawowe cele z jakimi tworzony był LISP

Rozwiązanie oparte o siećStos protokołów po stronie hostów nie ulega modyfikacjiŻadnych zmian w adresacji hostówMało zmian w konfiguracji urządzeń sieciowychMożliwy do przyrostowego wdrożeniaNiezależny od protokołu L3 – IPv4 i IPv6


Jak „wygląda” LISP?

Stos hosta:dodaje ID

Stos routera:dodaje ‘locator’wraz z nowymnagłówkiem


Jak „wygląda” LISP dokładniej?

peer-to-peer communications

peer-to-peer communicationssource

hostdestination

host

Internet

7. Application

5. Session6. Presentation

4. Transport

2. Data Link

1. Physical

3. Network (host)

Dodawanienagłówka LISP

7. Application

5. Session6. Presentation

4. Transport

2. Data Link

1. Physical

3. Network (host)

2. Data Link

3. Network (LISP)

1. Physical

3. Network (host)

(LISP UDP)

Zdejmowanienagłówka LISP

2. Data Link

3. Network (LISP)

1. Physical

3. Network (host)

(LISP UDP)

LISPITR

LISPETR

2. Data Link

3. Network (LISP)

1. Physical

3. Network (host)

(LISP UDP)


Ingress Tunnel Router (ITR)Odnajduje mapowanie EID na ‘Locator’Tuneluje ruch do odpowiedniego ‘Locatora’

Egress Tunnel Router (ETR)Odnajduje mapowanie EID i adresów ‘Locator’ówRozpakowuje tunel i przesyła dane do hosta

xTR – router LISP bez rozróżniania kierunku obsługiwanego ruchu

Typowe wdrożenie składa się z routerów xTR

Elementy sieciowe LISP




S

ITR

DITR

ETR

ETR

Provider Y13.0.0.0/8

Provider X12.0.0.0/8S1

S2

D1

D2

PI EID-prefix 1.0.0.0/8 PI EID-prefix 2.0.0.0/8

Wpis DNS:D.abc.com A 2.0.0.2 EID-prefix: 2.0.0.0/8

Locator-set:

12.0.0.2, priority: 1, weight: 50 (D1)

13.0.0.2, priority: 1, weight: 50 (D2)

Wpismapujący

1.0.0.1 -> 2.0.0.2

1.0.0.1 -> 2.0.0.2

11.0.0.1 -> 12.0.0.2

Legenda:EID -> NiebieskieLocator -> Czerwone

1.0.0.1 -> 2.0.0.2

11.0.0.1 -> 12.0.0.2

1.0.0.1 -> 2.0.0.2

PolitykaKontrolowanaprzez hostadocelowego

Przekazywanie ruchu unicastowego


LISP + ALT?

Dana lokalizacja używa przestrzeni adresowej EID Sieć operatora używa przestrzeni adresowej

‘Locatorów’ Musi istnieć mechanizm tworzenia mapowań po

stronie routerów LISP Rozgłaszanie prefiksów EID w alternatywnej

topologii tuneli GRE – przez protokół BGP Wejściowe routery LISP (ITR) otrzymują

mapowania(map-request) w topologii ALT od routerów wyjściowych (ETR)


Legenda:EID -> NiebieskieLocator -> CzerwoneTunel GRE

Łącze optymalneŁącze fizycznePakiet danychMap-RequestMap-Reply

ETR

ETR

ETR

ITR

EID-prefix 240.1.2.0/24

ITR

EID-prefix 240.1.1.0/24

ALT EID-prefix 240.2.1.0/24

240.0.0.1 -> 240.1.1.1

240.0.0.1 -> 240.1.1.1EID-prefix 240.0.0.0/24

1.1.1.1 -> 11.0.0.1240.0.0.1 -> 240.1.1.1

11.0.0.1 -> 1.1.1.1

ALT-rtr

ALT-rtr

ALT-rtr

ALT-rtr

ALT-rtr

ALT-rtr

?

240.0.0.1 -> 240.1.1.1

11.0.0.1 -> 240.1.1.1

? 240.0.0.1 -> 240.1.1.1

11.0.0.1 -> 240.1.1.1

?< - 240.1.0.0/16

?

Jak to działa razem?


LISP+ALT+ … Internet?

LISP będzie wdrażany przyrostowo Sieci wspierające/wykorzystujące LISP

będą musiały komunikować się z InternetemMamy dwie podstawowe drogi:

LISP Network Address Translators (LISP-NAT)Proxy Tunnel Routers (PTRs)


LISP – gdzie jesteśmy dzisiaj?

Pierwsze prace implementacyjne w marcu 2007 na praskim spotkaniu IETF

W czerwcu 2007 rozpoczął się pilotPlatforma NX-OS na urządzeniach CiscoOpenLISP na platformie FreeBSDProwadzone są prace nad implementacją w Cisco IOS i IOS-XR

Sieć pilotażowa działa – 24 lokalizacje w 5 krajachDwa prefiksy: 153.16.0.0/16 i 2610:00d0::/32LISP-ALT używa 32-bitowych numerów AS: 32656.x


Użytkownicy LISPa

Google

Facebook

Cisco

PLNOG


Gdzie szukać informacji?

Strona projektu LISP4:http://lisp4.cisco.com/

Demon OpenLISP dla FreeBSD:http://gforge.info.ucl.ac.be/projects/openlisp/

Narzędzie diagnostyczne LIG:http://www.github.com/davidmeyer/lig


Locator/ID Separation Protocol (LISP) - draft-ietf-lisp-07; 25-Apr-2010 http://tools.ietf.org/html/draft-ietf-lisp-07

LISP Map Server - draft-ietf-lisp-ms-05; 26-Apr-2010http://tools.ietf.org/html/draft-ietf-lisp-ms-05

LISP ALT - draft-ietf-lisp-alt-04; 26-Apr-2010http://tools.ietf.org/html/draft-ietf-lisp-alt-04

LISP Interworking - draft-ietf-lisp-interworking-00; 26-May-2009 http://tools.ietf.org/html/draft-ietf-lisp-interworking-00

LISP Multicast - draft-ietf-lisp-multicast-03; 16-Apr-2010 http://tools.ietf.org/html/draft-ietf-lisp-multicast-03

LISP Mobility Architecture - draft-meyer-lisp-mn-01; 01-Feb-2010http://tools.ietf.org/html/draft-meyer-lisp-mn-01

LISP Internet Groper (LIG) – draft-ietf-lisp-lig-00;10-Apr-2010http://tools.ietf.org/html/draft-ietf-lisp-lig-00

LISP CanonicalAddressFamily (LCAF) – draft-farinacci-lisp-lcaf-00; 13-Apr-2010http://tools.ietf.org/html/draft-farinacci-lisp-lcaf-00

Gdzie szukać draftów/API?

Łukasz [email protected]

Secure Inter-Domain Routing


Agenda

Problem

Rozwiązanie


Problem


Porywanie prefiksów

Możemy rozgłosić AS kogoś innego

Możemy rozgłosić przestrzeń adresową należącą do kogoś innego

W ten sposób można ściągnąć do siebie ruch „ofiary”...

...być może potem przekierować go nawet od właściwego odbiorcy – oczywiście po zgraniu, obejrzeniu i „zachowaniu na później”?


Ten sam prefiks – wygrywa krótsza AS_PATH

Źródło: prezentacja z NANOG46


Ten sam prefiks – bardziej dokładny

Źródło: prezentacja z NANOG46


Przykłady „porywania” prefiksów

W niedzielę, 24’ego lutego 2008 Pakistan Telecom (AS17557) rozpoczął rozgłaszanie prefiksu 208.65.153.0/24.

Jeden z operatorów tranzytowych PT - PCCW Global (AS3491) zaakceptował i przesłał to rozgłoszenie dalej – co spowodowało „porwanie” prefiksu należącego do YouTube w większości internetu

Wina PT czy PCCW?BGP blackholing?

http://www.ripe.net/news/study-youtube-hijacking.html


Youtube – powinno być tak

Obrazki dzięki RIPE BGPlay


Youtube – było tak


Rozwiązanie


Prace standaryzacyjne

IETF Security Inter Domain Routing WG

Weryfikacja rozgłaszającego AS

draft-pmohapat-sidr-pfx-validate-xx.txt

draft-ymbk-rpki-rtr-protocol-xx.txt

Zdefiniowano infrastrukturę opartą o PKI służącą do weryfikacji „źródła pochodzenia”

Globalna, dystrybuowana baza autoryzowanych (prefiks<>AS) mapowań które są cyfrowo zweryfikowaneRouter/oprogramowanie BGP wykonuje werfyikację lokalnie


Jak zabrać się do problemu?

Lokalna baza danych uwierzytelnionych prefiksów

Obecnie rozważa się bazę certyfikatów/podpisanych obiektów (ROA)

W pamięci routera BGP prosta baza mapowań prefiksów na AS

BGP powinno sprawdzać tą strukturę przed zaakceptowaniem każdego prefiksu

RIR

X.509 ROA

rsync


Przykład konfiguracji

IOS-XR:

router bgp 4128bgp router-id 198.180.152.251bgp rpki cache 198.180.150.1 42420 refresh-time 600address-family ipv4 unicastbgp dampening collect-statistics ebgpredistribute static route-policy vb-ebgp-out

...


Przykład weryfikacji prefiksów

IOS-XR:

RP/0/5/CPU0:ios# show bgp rpki prefix-validation databaseWed Oct 19 12:54:16.812 UTCNetwork Maxlen Origin-AS Valid8.0.0.0/4 6 200 Y1.1.0.0/16 24 1 Y3.0.0.0/24 24 2 N4.0.0.0/8 8 3 N/A12.0.0.0/8 24 7018 Y20.137.0.0/21 21 4238 N


Wynik weryfikacji

ValidOdnaleziono mapowanie dla prawidłowego certyfikatu dla wskazanego ASN

InvalidOdnaleziono mapowanie dla certyfikatu, ale nie zgadzał się ASN lub certyfikat był nieważny

Not found/availableNie odnaleziono pasującego mapowania


Docelowe rozwiązanie

38 77 200 78 40 50 60100 78

20 30100 78

valid

not found

invalid

Który prefiks wybrać?


IOS-XR – Prefiks Valid

RP/0/1/CPU0:r0.dfw# show bgp 192.158.248.0/24BGP routing table entry for 192.158.248.0/24Versions:

Process bRIB/RIB SendTblVerSpeaker 132327 132327

Last Modified: Oct 2 01:06:47.630 for 13:33:12Paths: (6 available, best #3)

Advertised to peers (in unique update groups):204.69.200.26

Path #1: Received by speaker 02914 1299 6939 6939 27318

157.238.224.149 from 157.238.224.149 (129.250.0.85)Origin IGP, metric 0, localpref 100, valid, external, \

origin validity state: validCommunity: 2914:420 2914:2000 2914:3000 4128:380

Path #2: Received by speaker 0...


IOS-XR – Prefiks Invalid

RP/0/1/CPU0:r0.dfw#sh bgp 64.9.224.0BGP routing table entry for 64.9.224.0/20Versions:

Process bRIB/RIB SendTblVerSpeaker 0 0

Last Modified: Oct 2 17:38:27.630 for 4d22hPaths: (6 available, no best path)

Not advertised to any peerPath #1: Received by speaker 02914 3356 36492

157.238.224.149 from 157.238.224.149 (129.250.0.85)Origin IGP, metric 2, localpref 100, valid, external,\

origin validity state: invalidCommunity: 2914:420 2914:2000 2914:3000 4128:380


IOS-XR – konfiguracja polityki

route-map validity 10match rpki-invaliddrop

route-map validity 20match rpki-not-foundset localpref 50


Co dalej?


Dostęp do kodu testowego IOS

Dysponujemy kodem testowym dla IOS i IOS-XR

Możemy udostępnić dla celów testowychbędziemy chcieli poprosić o parę użytecznych informacji i oczywiście od czasu do czasu odpytać o stabilność


RIPE NCC – Narzędzie do weryfikacji

http://labs.ripe.net/Members/agowland/ripe-ncc-validator-for-resource-certification

lisp i sidr

Documents